Datenschutzerklärung

Stand: Oktober 2026

learnly.school ist eine self-hosted Lernplattform. Wir erheben so wenig Daten wie möglich, betreiben die Plattform auf einem Server in Deutschland und setzen weder Werbung noch Tracking noch Analyse-Werkzeuge ein. Die Schriften werden lokal geladen (kein externer Font-Anbieter).

1. Verantwortlicher

2. Welche Daten wir verarbeiten und wozu

Konto und Anmeldung

Für Lehrkräfte verarbeiten wir E-Mail-Adresse und Namen. Die Anmeldung ist passwortlos: Die Lehrkraft erhält einen einmalig gültigen Anmeldelink per E-Mail (Magic-Link); wir speichern keine Passwörter. Schüler:innen werden von ihrer Lehrkraft angelegt und melden sich ohne E-Mail-Adresse mit einem Anmeldecode an (Ausweiskärtchen mit QR-Code); von ihnen verarbeiten wir den Namen und den zugehörigen, nur als Hashwert gespeicherten Anmeldecode. Die Authentifizierung erfolgt self-hosted über ein eigenes Token-Verfahren (JWT); es ist kein externer Auth-Anbieter eingebunden. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Nutzungsverhältnis) sowie lit. f (sicherer Betrieb); für die Verarbeitung von Schülerdaten zusätzlich die Verarbeitung im Auftrag der Schule (siehe Abschnitt 4).

Lerninhalte und Dateien

Von Lehrkräften angelegte Lernwege, Materialien, Lernkarten und hochgeladene Dateien werden auf unserem Server gespeichert (lokaler Datei-Storage, kein externer Cloud-Speicher), damit die Plattform funktioniert. Der Lernfortschritt von Schüler:innen (welche Aufgaben abgehakt sind) wird ebenfalls auf unserem Server gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für Schülerdaten zusätzlich die Verarbeitung im Auftrag der Schule (siehe Abschnitt 4).

KI-Lernbegleiter (Chat)

Der digitale Lernweg enthält einen KI-Lernbegleiter, mit dem Schüler:innen chatten können. Dabei gelten mehrere Schutzvorkehrungen:

• Anonymisierung: Bevor eine Nachricht verarbeitet wird, ersetzen wir alle Namen (des Kindes, seiner Mitschüler:innen und der Lehrkräfte) durch neutrale Platzhalter. Klarnamen verlassen unser System auf diesem Weg nicht. Davon ausgenommen ist das Digitalisieren einer bestehenden Lernwegeliste durch eine Lehrkraft: Die dort hochgeladene Datei bzw. der eingefügte Text wird im Wortlaut an den KI-Anbieter übermittelt. Lehrkräfte sind angewiesen, dafür keine Unterlagen mit Namen von Schüler:innen zu verwenden.
• Lokale Sicherheitsprüfung: Jede Nachricht des Kindes und jede Antwort wird zuerst von einem kleinen KI-Modell geprüft, das auf unserem eigenen Server läuft. Für diese Prüfung verlässt keine Nachricht unser System; als ungeeignet eingestufte Nachrichten werden nicht weitergeleitet. Das ist keine Konfigurationsfrage: Für diese Prüfung lässt sich technisch kein Modell eines fremden Anbieters einstellen. Steht kein eigenes Modell zur Verfügung, bleibt der Chat geschlossen.
• Antwortgenerierung: Für die eigentliche Antwort wird die anonymisierte Nachricht zusammen mit dem für den Lernweg nötigen Kontext und dem bisherigen Gesprächsverlauf an einen KI-Anbieter übermittelt (derzeit Anthropic, siehe Abschnitt 3), jeweils ohne Klarnamen. Wahlweise kann stattdessen ein lokal auf unserem Server betriebenes Modell genutzt werden; dann verlässt auch der Chat unser System nicht.
• Speicherung und Aufsicht: Die Chatverläufe werden auf unserem Server gespeichert (ein Verlauf je Kind und Lernwegeliste), damit das Gespräch fortlaufend ist und die zuständige Lehrkraft ihrer Aufsichtspflicht nachkommen kann. Die Kinder werden im Chat sichtbar darauf hingewiesen, dass die Lehrkraft mitlesen kann.
• Vertrauliche Förderhinweise: Die Lehrkraft kann zu einzelnen Kindern vertrauliche Hinweise hinterlegen (z. B. zur individuellen Förderung), die das Verhalten des Begleiters steuern und dem Kind nicht angezeigt werden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO sowie die Verarbeitung im Auftrag der Schule (siehe Abschnitt 4).

Server-Logs und Cookies

Beim Zugriff fallen technische Verbindungsdaten an (u. a. IP-Adresse, Zeitpunkt, Browserkennung) zum sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO); sie werden kurzfristig gelöscht. Wir setzen nur technisch notwendige Cookies (Anmelde-Session), keine Tracking- oder Analyse-Cookies.

E-Mail

learnly.school versendet E-Mails über Resend (siehe Abschnitt 3), insbesondere Anmeldelinks (Magic-Link), Bestätigungen bei Änderung der Anmeldeadresse sowie sicherheitsrelevante Hinweise an Lehrkräfte (etwa, wenn die Sicherheitsprüfung eine Nachricht als kritisch einstuft). Dabei wird die E-Mail-Adresse der Lehrkraft verarbeitet; die Hinweismails enthalten bewusst keinen Nachrichteninhalt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.

3. Hosting und Auftragsverarbeiter

• netcup GmbH (Deutschland) – Server-Hosting. Konto- und Inhaltsdaten liegen auf einem Server in Deutschland.
• Cloudflare – Auslieferung/Reverse-Proxy (verarbeitet Verbindungsdaten, u. a. IP-Adresse) und Hosting der Weboberfläche.
• Resend (USA, Zustellung über Amazon SES in der EU) – E-Mail-Versand.
• Anthropic (USA) – KI-Anbieter für die Antworten des Lernbegleiters und für das Digitalisieren von Lernwegelisten. Aus dem Chat werden ausschließlich anonymisierte Inhalte (ohne Klarnamen) übermittelt. Die vorgeschaltete Sicherheitsprüfung läuft stets auf unserem eigenen Server, dafür findet keine Übermittlung an Dritte statt.
• Google (Google Gemini) – alternativer KI-Anbieter für dieselben Zwecke. Welcher Anbieter aktiv ist, legt der Betreiber fest; derzeit ist es Anthropic.

Soweit dabei eine Übermittlung in die USA erfolgt (Cloudflare, Resend, KI-Anbieter), stützt sich diese auf die EU-Standardvertragsklauseln bzw. das EU-US Data Privacy Framework. Mit Anthropic besteht ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO); er ist Bestandteil der Commercial Terms der Claude API und bedarf keines gesonderten Dokuments. Mit den übrigen Dienstleistern bestehen die jeweils angebotenen Auftragsverarbeitungsverträge.

4. Nutzerkreis und Minderjährige

learnly.school wird von Schulen eingesetzt. Es gibt Lehrer-Konten und, wo eine Schule diese Funktion nutzt, von Lehrkräften angelegte Schüler-Konten. Die Verarbeitung erfolgt im Auftrag und unter Verantwortung der jeweiligen Schule (Art. 6 Abs. 1 lit. e DSGVO in Verbindung mit dem jeweiligen Schulgesetz). Das gilt nicht erst für Daten Minderjähriger, sondern bereits für die Daten der Lehrkräfte.

Vor der Verarbeitung personenbezogener Daten im Auftrag einer Schule wird mit dieser ein Auftragsverarbeitungsvertrag (Art. 28 DSGVO) geschlossen; die erforderlichen Rechtsgrundlagen bzw. Einwilligungen der Erziehungsberechtigten verantwortet die Schule. Befindet sich eine Schule noch in einer Erprobung ohne abgeschlossenen Vertrag, werden dort keine Schülerdaten verarbeitet. Eine gesonderte Elterninformation steht unter app.learnly.school/eltern bereit.

Zugriff des Betreibers: Für Betrieb und Fehlersuche kann der Betreiber technisch auf die Daten der betreuten Schulen zugreifen. Dieser Zugriff ist auf das Plattform-Team beschränkt und erfolgt nur, soweit es für den Betrieb erforderlich ist.

5. Speicherdauer

Konto- und Inhaltsdaten speichern wir, solange das Konto besteht. Bei Löschung des Kontos oder auf Anfrage werden die personenbezogenen Daten gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Chatverläufe des KI-Lernbegleiters werden zusätzlich automatisch nach Ablauf einer Aufbewahrungsfrist (standardmäßig ein Jahr) sowie beim Löschen des Schüler-Kontos oder der zugehörigen Lernwegeliste gelöscht. Server-Logs werden kurzfristig gelöscht.

Datensicherung und Export: Das Plattform-Team kann ein vollständiges Backup als Archiv herunterladen (Datenbank-Abzug und hochgeladene Dateien). Der Download ist an ein Einmal-Ticket gebunden und erfordert eine zweite Rechteprüfung. Ein so erstelltes Archiv unterliegt den oben genannten Löschfristen nicht automatisch; es wird nur für Umzug und Wiederherstellung erstellt und danach gelöscht.

6. Rechte der betroffenen Personen

Betroffene Personen (Lehrkräfte sowie Schüler:innen, für Minderjährige vertreten durch die Erziehungsberechtigten bzw. über die Schule) haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21) sowie das Recht, sich bei einer Aufsichtsbehörde zu beschweren (z. B. Landesbeauftragter für den Datenschutz Baden-Württemberg). Anfragen zu Schülerdaten richten Erziehungsberechtigte in der Regel an die Schule als verantwortliche Stelle (siehe Abschnitt 4).

7. Sicherheit

Die Verbindung ist per TLS verschlüsselt; der Server ist gehärtet.